Mozilla thu hồi khóa ký Linux của Firefox và Thunderbird
"Mozilla revoked the Linux signing subkey used for Firefox and Thunderbird downloads after an unencrypted copy was accidentally committed to a private repository. The revocation uses OpenPGP reason code 2 (key material compromised), which causes older signatures made with that subkey to stop verifying; Mozilla published a replacement subkey and most users are unaffected, though manual key import or RPM key replacement may be required in some cases."
Ảnh hưởng chính là mất khả năng xác minh chữ ký cũ của các bản tải xuống đã ký bằng subkey bị thu hồi. Dù chưa có bằng chứng lộ ra ngoài, việc gắn reason code key material compromised khiến toàn bộ chữ ký từ khóa này bị xem là không tin cậy.
Tác động vận hành chủ yếu đến người dùng RPM và đội quản trị phải cập nhật khóa thủ công trong một số môi trường. Các tổ chức kiểm tra chữ ký gói phần mềm có thể phát sinh gián đoạn cập nhật và cần xử lý đồng bộ kho khóa.
Mozilla đã thu hồi subkey ký Linux dùng cho các bản tải xuống Firefox và Thunderbird sau khi một bản sao không mã hóa của khóa này bị vô tình đưa vào kho mã nguồn riêng. Việc thu hồi dùng OpenPGP reason code 2 (key material compromised), nên các chữ ký cũ tạo bằng subkey này sẽ không còn xác minh được sau khi người dùng nhập bản thu hồi.
Theo Mozilla, chưa có dấu hiệu cho thấy khóa bị truy cập từ bên ngoài; các bản ghi kiểm tra cho thấy không có truy cập trái phép. Tuy vậy, hãng vẫn phát hành subkey thay thế với fingerprint 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3, có hiệu lực đến 05/08/2028.
Phần lớn người dùng không cần thao tác. Tuy nhiên, người xác minh chữ ký thủ công cần nhập khóa mới và revocation của khóa cũ. Người cài Firefox từ RPM packages có thể gặp lỗi cập nhật và phải thay khóa thủ công; Mozilla khuyến nghị xóa khóa cũ bằng rpm -e --allmatches, sau đó nhập lại khóa mới và chạy dnf clean all. Trường hợp này không ảnh hưởng đến gói APT/.deb vì dùng khóa khác.
Sự cố cho thấy rủi ro của quản lý khóa ký trong chuỗi cung ứng phần mềm, đặc biệt khi khóa bị lộ trong kho nội bộ.